使用OWASP ZAP执行被动扫描时ZAP会话是否需要进行身份认证

核心结论 #

被动扫描场景下ZAP自身不需要完成任何身份认证，原因及适配你业务场景的说明如下：

原理说明 #

被动扫描的本质是ZAP对流经自身的HTTP/HTTPS流量做离线特征匹配，全程不会主动向目标后端发起任何额外请求，只要流量能正常经过ZAP，它就能对请求内容、服务端返回的响应做漏洞检测，不需要自身持有认证凭证。

适配你的部署场景的注意事项 #

你当前的架构中客户端已经通过现有代理完成了basic auth/SAML认证，所有请求本身就是合法的已认证流量，只需要把ZAP正确串入流量链路即可：

• 推荐部署方案：将ZAP部署在运行于端口A的认证代理和运行于端口B的后端服务之间，认证代理完成身份校验后的所有请求先转发到ZAP，ZAP执行被动扫描后再转发到后端服务，全程不需要修改现有认证逻辑，也不需要ZAP做任何身份认证操作
• 若需要使用越权访问类的被动检测能力，仅需要在ZAP中配置会话标识规则（比如匹配Cookie中的会话字段、Authorization请求头的标识），用来区分不同用户身份的请求，同样不需要ZAP自身完成认证流程

额外提示 #

如果你的业务流量走HTTPS协议，需要将ZAP的根证书导入到你的认证代理的信任列表中，保证ZAP可以解密流量完成扫描规则匹配。

内容的提问来源于stack exchange，提问作者acGunner